Zenconsole: centraal beheer van Zenarmor voor meerdere locaties en klanten

Zenconsole is het cloudbeheerportaal van Zenarmor (dash.zenarmor.com). Daarmee beheert u alle Zenarmor-gateways en endpoint-agents vanuit één console: centrale policies, rapportage, gebruikers en zero-trust-toegang voor al uw locaties tegelijk. Voor een organisatie met meerdere vestigingen betekent dat één beleid in plaats van tien losse firewallconfiguraties. Voor een MSP betekent het één console met per klant gescheiden omgevingen. Met Zenarmor 2.6 en 2.7 (juni en september 2026) zijn daar een audit trail, een organisatiegebaseerde REST API en een kiesbare opslagregio voor centrale rapportage bijgekomen, waaronder Nederland en Duitsland.

In dit artikel leggen wij, als officiële Zenarmor-partner in Nederland én onafhankelijk ISO 27001 Lead Auditor, uit hoe Zenconsole is opgebouwd, wat u wel en niet centraal regelt, welke rollen en rechten er zijn, hoe het zit met datalocatie en soevereiniteit, en hoe Secrotec Zenconsole als managed service levert.

Wat is Zenconsole precies?

Zenconsole is de SaaS-beheerlaag boven de Zenarmor-engine. De engine zelf draait lokaal: als plugin op OPNsense, als pakket op pfSense CE, FreeBSD of Linux, als container, of als agent op een laptop of telefoon. De console verzamelt die instanties, verdeelt het beleid en toont de rapportage. Belangrijk om te begrijpen: de handhaving blijft lokaal. Uw verkeer hoeft niet via een extern inspectiepunt (PoP) te lopen. Zenconsole is de beheer- en rapportagelaag, geen doorgeefluik voor uw dataverkeer.

Zenconsole kent twee manieren van werken:

• Standalone firewallbeheer. Elke firewall houdt zijn eigen policies, maar u ziet en beheert alle firewalls vanuit één portaal. Firewalls groepeert u in projecten. Zenarmor beschrijft een project in de documentatie letterlijk als map per vestiging of, voor een MSP, per klant.
• Organisatiebeheer (Central Organization Management). Policies worden centraal in Zenconsole gedefinieerd en gelden voor alle gateways en endpoints in de organisatie. Dit is het model voor echt centraal beleid, gebruikersgebaseerde regels en ZTNA (overzicht van Zenarmor).

Aspect	Standalone firewallbeheer	Organisatiebeheer
Waar staan de policies?	Lokaal per firewall	Centraal in Zenconsole
Groepering	Projecten (per vestiging of klant)	Organisatie met gateways, endpoints en tags
Rollen voor collega's	Owner, Admin, Operator, Viewer	Owner, Admin, Viewer
Endpoints en ZTNA	Niet centraal	Agents, zero-trust-netwerken, posture checks
Typisch gebruik	Enkele firewalls met lokaal beheer	Meerdere locaties, hybride werkers, MSP-klanten

Organisaties en multi-tenant structuur

Een organisatie in Zenconsole is de container waarin u gateways (OPNsense, pfSense CE, Linux) en endpoints (Windows, macOS, Linux en mobiel) registreert. Daarbinnen beheert u gebruikers: handmatig of via een identity provider zoals Entra ID, Google Workspace of Okta. Sinds release 2.6 kunt u gateways en endpoints bovendien labelen met systeem- of eigen tags, bijvoorbeeld per regio, afdeling of risicoklasse. Dat maakt rapportage en beleid per groep overzichtelijk.

Welke variant u krijgt, hangt af van het abonnement. In de documentatie was Central Organization Management lange tijd gekoppeld aan SSE en hoger. Met release 2.7 heeft Zenarmor de organisatiefunctie voor alle edities beschikbaar gemaakt. Op de actuele plannenpagina staat "cloud-based central organizational management" bij Unified Secure en Unified Secure Plus, met één tenant. Klant- en tenantbeheer voor partners hoort bij de SSE-, ZTNA- en SASE-plannen. Voor één organisatie met meerdere vestigingen volstaat dus vaak Unified Secure (Plus); wie als MSP meerdere klanten gescheiden wil beheren, komt in de enterprise- en partnerplannen uit. Omdat Zenarmor de functies per release uitbreidt, controleren wij de actuele stand altijd per scenario.

Wat multi-tenant in de praktijk betekent

Multi-tenant betekent dat elke klant of dochterorganisatie een eigen, afgeschermde omgeving heeft: eigen policies, eigen rapportage en eigen beheerders. De engineer bij de MSP ziet tegelijk alles vanuit één login. Zenarmor noemt op de MSP-pagina expliciet de scheiding van policy, data en zichtbaarheid per tenant. Voor een auditor is dat geen detail: het voorkomt dat de beheerder van klant A per ongeluk de logging van klant B kan inzien, en het maakt de verantwoordelijkheden per klant aantoonbaar.

Centrale policies: één keer definiëren, overal afdwingen

In een organisatie legt u internettoegangsbeleid en private-network-policies centraal vast. Een policy combineert beveiligingsregels (malware, phishing, botnet-C&C), applicatiecontrole, webfiltering, TLS-inspectie en uitzonderingen. U past haar toe op basis van criteria zoals interface, VLAN, netwerk, apparaat, gebruiker, groep en tijdschema. Sinds 2.7 kunnen organisatiepolicies ook verwijzen naar gebruikers en groepen uit een klassieke Active Directory- of LDAP-omgeving. Dat vereenvoudigt de overstap voor organisaties met een bestaand Windows-domein. Meer over de bouwstenen leest u in onze artikelen over applicatiecontrole en de Zenarmor-webfilter.

Baseline-policies als sjabloon

Zenconsole heeft sinds 2.6 een back-up- en restorefunctie voor internet security policies: u exporteert meerdere policies naar één bestand en importeert ze elders weer. Wij gebruiken dat als sjabloonmechanisme. Secrotec onderhoudt een baseline-set, bijvoorbeeld "kantoor", "gastnetwerk", "IoT/OT" en "beheerders", die aansluit op ISO 27001 Annex A en NIS2 artikel 21. Bij een nieuwe locatie of klant zetten we die set in één keer neer. Afwijkingen per locatie voegen we daarna bewust en gedocumenteerd toe, zodat u bij een audit precies kunt uitleggen waarom een vestiging afwijkt.

Let op bij de migratie van bestaande firewalls

Een firewall die al lokale policies heeft, kunt u niet zomaar aan een organisatie toevoegen. Volgens de Zenarmor-documentatie maakt u eerst een back-up van de lokale policies; daarna worden die verwijderd, omdat het beleid voortaan centraal wordt beheerd. Zo'n back-up kunt u alleen terugzetten op een standalone instantie, niet op een node die al in een organisatie zit. Plan de migratie daarom per locatie, met een onderhoudsvenster en een centrale policy die vooraf is nagebouwd en getest.

Audit trail: wie heeft wat gewijzigd?

Voor ISO 27001 en NIS2 is het niet genoeg dat een firewall goed staat ingesteld. U moet ook kunnen aantonen wie wijzigingen doorvoert en wanneer. Zenarmor 2.6 introduceerde een audit trail in Zenconsole die beheerdersacties vastlegt, zoals policywijzigingen, configuratiewijzigingen en het toevoegen of verwijderen van instanties. Met 2.7 zijn daar auditlogs voor endpoint-applicaties en OPNsense-gateways bijgekomen, onder meer voor aan- en afmeldingen, wijzigingen in de enginestatus, updates en aanpassingen aan zero-trust-netwerken (zie de release notes).

Als auditor koppelen wij dat direct aan controls: ISO 27001:2022 A.8.15 (logging), A.8.32 (wijzigingsbeheer), A.8.2 (speciale toegangsrechten) en A.5.15 (toegangsbeveiliging). Voor de Cyberbeveiligingswet, sinds 15 augustus 2026 van kracht, en NIS2 artikel 21 levert het bewijs voor het beheer van netwerk- en informatiesystemen en voor uw toegangsbeleid. Hoe u logging en rapportage als bewijs inzet, leest u in Zenarmor-rapportage voor NIS2 en ISO 27001.

Rollen en rechten

Zenconsole werkt met rolgebaseerde toegang. Binnen een organisatie beheert u beheerders via Settings > Administrators met de knop + Add Admin (documentatie). Bij standalone firewalls deelt u een node via het menu Sharing; volgens Zenarmor kan alleen de eigenaar dat doen, en alleen met een betaald abonnement.

Rol	In een organisatie	Bij een standalone firewall	Typisch voor
Owner	Alle rechten, inclusief gebruikers- en rollenbeheer; alleen de owner kan de organisatie delen	Alle rechten, inclusief verwijderen van de firewall	Hoofdbeheerder of contractpartij
Admin	Engine- en policybeheer, firewallconfiguratie; geen gebruikers verwijderen of rollen wijzigen	Vrijwel alles behalve verwijderen; mag delen	MSP-engineer, IT-beheer
Operator	Niet beschikbaar	Configureren en policies beheren, niet delen	Tweedelijns beheer
Viewer	Alleen lezen: configuratie, rapporten, live sessies	Alleen lezen	Security officer, management, auditor

Ons advies: houd het aantal owners minimaal, geef de klant of security officer een viewer-rol voor transparantie, en werk altijd met persoonlijke accounts in plaats van gedeelde. Een audit trail met "admin@bedrijf" als enige gebruiker is voor een auditor weinig waard.

Centrale rapportage en datalocatie: Nederland of Duitsland

Zenconsole bundelt de rapportage van alle gateways en endpoints in één overzicht: dreigingen, geblokkeerde applicaties, webcategorieën, gebruikers en apparaten. De bewaartermijn in de cloud hangt af van het plan. Volgens de plannenpagina is dat één dag bij Free en Home, 15 dagen bij Unified Secure, 30 dagen bij Unified Secure Plus en 90 dagen bij de enterpriseplannen.

Belangrijk voor Europese organisaties: sinds 2.6 en 2.7 kiest u de regio van de centrale rapportage-opslag. De release notes noemen onder meer Nederland en Duitsland, daarnaast Finland, Zweden, het Verenigd Koninkrijk en regio's buiten Europa. Op de plannenpagina staat "customizable data residency region" als optie op aanvraag. Wij regelen die keuze bij de inrichting.

Soevereiniteit: wat u wel en niet bereikt

• Handhaving blijft lokaal. De inspectie gebeurt op uw eigen gateway of endpoint; er is geen verplichte omleiding via een buitenlands datacenter.
• Rapportage in de EU. Kies Nederland of Duitsland als regio voor de centrale rapportage.
• Logging volledig in eigen beheer. Wie geen logdata in een cloud wil, gebruikt lokale rapportage (Elasticsearch of SQLite op de gateway) of streamt rapportagedata naar een eigen Elasticsearch, syslog-server of SIEM.
• Eerlijk is eerlijk. Zenarmor is een Amerikaans bedrijf (Sunny Valley Cyber Security Inc.) met een Europees kantoor in Frankfurt. Neem Zenconsole daarom op in uw leveranciersbeoordeling (ISO 27001 A.5.19 tot en met A.5.23) en, waar persoonsgegevens worden verwerkt, in uw DPIA. Voor de hoogste eisen vermeldt de plannenpagina bij de enterpriseplannen "fully sovereign, self-hosted central management".

Endpoint-agents en ZTNA vanuit dezelfde console

Zenconsole beheert niet alleen firewalls. Dezelfde console rolt endpoint-agents uit voor Windows, macOS, Linux, Android en iOS, voor mobiele apparaten via Intune of Jamf. Zo geldt hetzelfde beleid ook voor medewerkers die thuis of onderweg werken. Sinds 2.5 worden agents automatisch via Zenconsole bijgewerkt en kunt u organisatiebreed herauthenticatie afdwingen.

Voor zero-trust-toegang bouwt u in Zenconsole versleutelde peer-to-peer-meshnetwerken (overlay-netwerken) met split-DNS en device posture checks: alleen beheerde, gezonde apparaten krijgen toegang tot interne applicaties. Release 2.7 voegde "Direct Access" toe, waarmee peers verbonden blijven als coördinator- of relayservers offline zijn. Hoe ZTNA, SSE en CASB samenwerken, leest u in Zenarmor: verder dan NGFW.

REST API en automatisering

Wie veel locaties of klanten beheert, wil niet alles met de muis doen. Zenarmor biedt een REST API op de gateway voor onder meer policybeheer, rapportagegegevens en uitzonderingen. Sinds 2.6 is er daarnaast een organisatiegebaseerde API in Zenconsole, waarmee u gateways aanmaakt en organisatiegegevens opvraagt. In 2.7 is die API uitgebreid, zodat u policies en zero-trust-netwerken programmatisch definieert. Volgens de plannenpagina geldt API-beheer bij de standaardplannen voor gateways, en bij de enterpriseplannen ook voor endpoints en volledig beheer.

Praktische toepassingen: nieuwe vestigingen automatisch provisionen (2.5 introduceerde bulkprovisioning via een installatiescript en bulkupdates van gateways), policies als code in versiebeheer bijhouden en rapportagegegevens doorzetten naar een ticket- of SIEM-omgeving.

Hoge beschikbaarheid

Een centraal beheerd netwerk moet ook redundant zijn waar dat telt. Op OPNsense ondersteunt Zenarmor high availability met synchronisatie van Zenarmor-instellingen en -policies tussen de nodes van een cluster. De plannenpagina noemt "gateway HA with configuration synchronization" vanaf Unified Secure. De plugin installeert u op elke clusternode. Zenconsole zelf is een SaaS-dienst; omdat de inspectie lokaal plaatsvindt, is de console de beheer- en rapportagelaag en geen schakel in het dataverkeer zelf.

Schaalscenario's: voor wie is Zenconsole interessant?

Scenario	Typische situatie	Wat Zenconsole oplevert
MKB met meerdere vestigingen	3 tot 20 locaties, OPNsense per locatie, hybride werkers	Eén beleid voor alle locaties, centrale rapportage, agents voor thuiswerkers
Schoolbesturen	Veel scholen, gastnetwerken, leerlingapparaten	Webfilter en SafeSearch per doelgroep, tijdschema's, overzicht per school via tags
Zorggroepen	Meerdere praktijken of locaties, NEN 7510	Uniforme segmentatie en logging, audit trail als bewijs, rapportage in een EU-regio
Retailketens	Veel kleine filialen, kassasystemen, IoT	Gestandaardiseerde baseline, apparaatidentificatie, centrale updates
MSP's en IT-dienstverleners	Tientallen klanten, elk met eigen omgeving	Tenantscheiding, rollen per klant, API-automatisering, gebundelde licenties

Dat dit werkt, laten de gepubliceerde klantverhalen van Zenarmor zien. De Nederlandse accountants- en adviesorganisatie De Hooge Waerder beheert volgens het verhaal van Zenarmor vijf vestigingen centraal in Zenconsole, met Zenarmor SSE op OPNsense en handhaving op Windows- en iOS-apparaten. In dat verhaal wordt Secrotec geciteerd als Nederlandse ISO 27001 Lead Auditor en Zenarmor-partner. Meer over die aanpak leest u in SSE, CASB en DLP: uploads naar WeTransfer stoppen. Zenarmor publiceert daarnaast voorbeelden uit Duitsland en Frankrijk, zoals een sociale organisatie met 45 locaties en een gemeente die haar scholen beveiligt. Voor zorgorganisaties is ook onze NEN 7510-audit relevant.

Zenarmor voor MSP's: het partnermodel

Voor managed service providers is Zenconsole het sterkste argument om voor Zenarmor te kiezen. U beheert alle klanten vanuit één console, zonder per klant op een aparte firewall in te loggen, en u houdt per klant gescheiden policies, data en beheerders. Zenarmor werkt voor partners met een gepoolde licentievorm: een gedeelde pool die u over klanten verdeelt en kunt herverdelen als klanten groeien of krimpen. De precieze voorwaarden verschillen per afspraak; wij lichten ze graag toe.

Let op: als IT-dienstverlener valt u mogelijk zelf onder de Cyberbeveiligingswet. Lees daarover NIS2-plichtig als IT-dienstverlener of MSP?. Een goed ingerichte audit trail, rolscheiding en gedocumenteerde baselines in Zenconsole helpen u aantonen dat u de beheeromgeving van uw klanten onder controle hebt.

Bent u een MSP die Zenarmor wil aanbieden? Secrotec staat als IT Security Service Provider in Nederland op de partnerlijst van Zenarmor, levert Zenarmor-licenties en -projecten in heel Europa en helpt u bij de opbouw van uw eerste tenants, baselines en rapportages.

Zo levert Secrotec Zenconsole als managed service

Het verschil met een gewone reseller: wij zijn ook auditor. Wij richten Zenconsole zo in dat de uitvoer, van policies en logging tot rolverdeling en rapporten, direct bruikbaar is als bewijs bij een ISO 27001- of NIS2-audit. Zenarmor ondersteunt compliance, maar maakt u niet automatisch compliant; het ISMS eromheen blijft nodig. Licenties levert Secrotec met partnerkorting, en in Zenarmor-projecten is de prijs altijd bespreekbaar. Bekijk de Zenarmor-partnerpagina, de prijsvergelijking of ons overzicht Firewall & Networks. Wilt u eerst zelf een gateway neerzetten? Volg dan onze handleiding Zenarmor installeren op OPNsense.